Lausuntopyyntö yleisen tietosuoja-asetuksen toimivuudesta ja sen soveltamiseen liittyvistä kokemuksista
Lausuntopyynnön diaarinumero: VN/23585/2023
Vastausaika on päättynyt: 7.9.2023
Lausuntopyynnön taustatiedot
Lausuntopyynnön kieli:
Johdanto
Henkilötietojen käsittelyä sääntelevä EU:n yleinen tietosuoja-asetus 2016/679 (EU) (yleinen tietosuoja-asetus) tuli sovellettavaksi 25.5.2018. Yleisen tietosuoja-asetuksen tarkoituksena on tukea digitaalitalouden kehitystä sisämarkkinoilla yhdenmukaistamalla EU:n jäsenvaltioiden tietosuojasääntelyä sekä vahvistaa rekisteröityjen tietosuojaoikeuksia.
Asetus on kaikissa jäsenvaltioissa suoraan sovellettavaa sääntelyä. Asetus jättää kuitenkin joiltakin osin jäsenvaltioiden lainsäätäjälle kansallista, asetuksen säännöksiä täsmentävää ja täydentävää sääntelyliikkumavaraa. Suomessa liikkumavaraa on käytetty 1.1.2019 voimaan tulleella tietosuojalailla (1050/2018) sekä sen rinnalla sovellettavalla erityislainsäädännöllä.
Euroopan komissio toimittaa Euroopan parlamentille ja neuvostolle joka neljäs vuosi kertomukset yleisen tietosuoja-asetuksen arvioinnista ja uudelleentarkastelusta (tietosuoja-asetuksen 97 artikla). Tässä yhteydessä komissio tarkastelee erityisesti seuraavien asetuksen lukujen soveltamista ja toimivuutta:
Komissio suorittaa yleisen tietosuoja-asetuksen arvioinnin ja uudelleentarkastelun nyt toista kertaa. Tarkastelun pohjalta julkaistava komission kertomus on tarkoitus julkaista kesällä 2024. EU:n neuvoston näkemys, jonka komissio ottaa huomioon arvioinnissa, valmistellaan neuvoston tietosuojatyöryhmässä ja tavoitteena on neuvoston näkemyksen hyväksyminen joulukuun 2023 alussa. Tämä prosessi huomioon ottaen tämän lausuntopyynnön tarkoituksena on selvittää yleisen tietosuoja-asetuksen soveltamiskokemuksia ja toimivuutta Suomessa.
Asetus on kaikissa jäsenvaltioissa suoraan sovellettavaa sääntelyä. Asetus jättää kuitenkin joiltakin osin jäsenvaltioiden lainsäätäjälle kansallista, asetuksen säännöksiä täsmentävää ja täydentävää sääntelyliikkumavaraa. Suomessa liikkumavaraa on käytetty 1.1.2019 voimaan tulleella tietosuojalailla (1050/2018) sekä sen rinnalla sovellettavalla erityislainsäädännöllä.
Euroopan komissio toimittaa Euroopan parlamentille ja neuvostolle joka neljäs vuosi kertomukset yleisen tietosuoja-asetuksen arvioinnista ja uudelleentarkastelusta (tietosuoja-asetuksen 97 artikla). Tässä yhteydessä komissio tarkastelee erityisesti seuraavien asetuksen lukujen soveltamista ja toimivuutta:
- kolmansiin maihin ja kansainvälisiin järjestöihin tehtäviä henkilötietojen siirtoja koskeva yleisen tietosuoja-asetuksen V luku siten, että erityistä huomiota kiinnitetään ns. komission riittävyyspäätöksiin;
- yhteistyötä ja yhdenmukaisuutta koskeva yleisen tietosuoja-asetuksen VII luku.
Komissio suorittaa yleisen tietosuoja-asetuksen arvioinnin ja uudelleentarkastelun nyt toista kertaa. Tarkastelun pohjalta julkaistava komission kertomus on tarkoitus julkaista kesällä 2024. EU:n neuvoston näkemys, jonka komissio ottaa huomioon arvioinnissa, valmistellaan neuvoston tietosuojatyöryhmässä ja tavoitteena on neuvoston näkemyksen hyväksyminen joulukuun 2023 alussa. Tämä prosessi huomioon ottaen tämän lausuntopyynnön tarkoituksena on selvittää yleisen tietosuoja-asetuksen soveltamiskokemuksia ja toimivuutta Suomessa.
Tausta
Yleistä tietosuoja-asetusta oli komission ensimmäiseen raportointiajankohtaan mennessä sovellettu kaksi vuotta. Arviointiraportissa komissio katsoi, että yleinen tietosuoja-asetus oli onnistunut sen tavoitteiden mukaisesti vahvistamaan yksilöiden oikeutta henkilötietojen suojaan sekä takaamaan henkilötietojen vapaan liikkuvuuden EU:ssa. Toisaalta komissio havaitsi myös joitakin parannuskohteita. Arviointiraportin mukaan olisi kuitenkin ollut ennenaikaista tehdä lopullisia päätelmiä yleisen tietosuoja-asetuksen soveltamisesta. Komissio piti todennäköisen, että useimmat jäsenvaltioiden ja sidosryhmien havaitsemista ongelmista ratkeaisivat, kun yleisen tietosuoja-asetuksen soveltamisesta kertyy enemmän kokemusta.
Arviointiraportissa komissio esitti toimenpiteitä asetuksen soveltamisen tukemista varten ja totesi seuraavansa toimien täytäntöönpanoa vuonna 2024 laadittavaa seuraavaa arviointikertomusta silmällä pitäen. Arviointiraportissa esitetyt toimet koskivat muun muassa yleisen tietosuoja-asetusta täydentävien kansallisten lainsäädäntökehyksien kehittämistä, tietosuojaviranomaisten rajatylittävää yhteistyötä koskevien yhteistyö- ja yhdenmukaisuusmekanismien kehittämistä, Euroopan talousalueen ulkopuolelle kohdistuvia tiedonsiirtoja (kansainväliset tiedonsiirrot) koskevien tiedonsiirtovälineiden jatkokehittämistä sekä innovoinnin ja teknologian kehittämisen edistämistä.
Yleistä tietosuoja-asetusta on tähän mennessä sovellettu yli viisi vuotta ja soveltamiskokemusta on nyt enemmän kuin ensimmäisen raportointiajankohdan aikaan. Lisäksi komission arviointiraportissa esittämien toimenpiteiden alalla on ensimmäisen arviointiraportin julkaisemisen jälkeen tapahtunut muutoksia.
Henkilötietojen kansainvälisten tiedonsiirtojen saralla EU:n tuomioistuin antoi vuonna 2020 ratkaisun C-311/18 niin sanotussa Schrems II -tapauksessa, joka kumosi EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn. Järjestely toimi oikeudellisena perustana henkilötietojen siirrolle EU:sta Yhdysvaltoihin. Euroopan komissio on hyväksynyt 10.7.2023 uuden Yhdysvaltojen tietosuojan riittävyyttä koskevan päätöksen, jonka nojalla henkilötietoja voidaan siirtää sertifioituneille yhdysvaltalaisille yrityksille, jotka ovat sitoutuneet EU:n ja Yhdysvaltojen välisessä tietosuojakehyksessä sovittuihin suojatoimiin. Lisäksi komissio on antanut tiedonsiirtovälineenä toimivat Etelä-Koreaa ja Iso-Britanniaa koskevat päätökset kyseisten maiden tietosuojan tason riittävyydestä.
EU:ssa on myös viime vuosina valmisteltu useita eri säädöksiä, joilla on liityntä tietosuoja-asetuksen soveltamisalaan ja joissa annetaan henkilötietojen käsittelyyn sovellettavia erityissäännöksiä, kuten digimarkkinasäädös (Digital Markets Act), digipalvelusäädös (Digital Services Act), datahallinta-asetus (Data Governance Act), tekoälysäädös (Artificial Intelligence Act), datasäädös (Data Act) sekä eurooppalaisen terveysdata-avaruuden perustamista koskeva asetus (Regulation on the European Health Data Space). Lisäksi komissio on antanut heinäkuussa 2023 yleisen tietosuoja-asetuksen täytäntöönpanon tehostamiseksi rajatylittävää menettelyä koskevan asetusehdotuksen valvontaviranomaisten menettelysääntöjen yhdenmukaistamiseksi. Asetuksen on tarkoitus täydentää yleistä tietosuoja-asetusta. Oikeusministeriö on valmistelemassa asetusehdotuksesta U-kirjelmää.
Arviointiraportissa komissio esitti toimenpiteitä asetuksen soveltamisen tukemista varten ja totesi seuraavansa toimien täytäntöönpanoa vuonna 2024 laadittavaa seuraavaa arviointikertomusta silmällä pitäen. Arviointiraportissa esitetyt toimet koskivat muun muassa yleisen tietosuoja-asetusta täydentävien kansallisten lainsäädäntökehyksien kehittämistä, tietosuojaviranomaisten rajatylittävää yhteistyötä koskevien yhteistyö- ja yhdenmukaisuusmekanismien kehittämistä, Euroopan talousalueen ulkopuolelle kohdistuvia tiedonsiirtoja (kansainväliset tiedonsiirrot) koskevien tiedonsiirtovälineiden jatkokehittämistä sekä innovoinnin ja teknologian kehittämisen edistämistä.
Yleistä tietosuoja-asetusta on tähän mennessä sovellettu yli viisi vuotta ja soveltamiskokemusta on nyt enemmän kuin ensimmäisen raportointiajankohdan aikaan. Lisäksi komission arviointiraportissa esittämien toimenpiteiden alalla on ensimmäisen arviointiraportin julkaisemisen jälkeen tapahtunut muutoksia.
Henkilötietojen kansainvälisten tiedonsiirtojen saralla EU:n tuomioistuin antoi vuonna 2020 ratkaisun C-311/18 niin sanotussa Schrems II -tapauksessa, joka kumosi EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn. Järjestely toimi oikeudellisena perustana henkilötietojen siirrolle EU:sta Yhdysvaltoihin. Euroopan komissio on hyväksynyt 10.7.2023 uuden Yhdysvaltojen tietosuojan riittävyyttä koskevan päätöksen, jonka nojalla henkilötietoja voidaan siirtää sertifioituneille yhdysvaltalaisille yrityksille, jotka ovat sitoutuneet EU:n ja Yhdysvaltojen välisessä tietosuojakehyksessä sovittuihin suojatoimiin. Lisäksi komissio on antanut tiedonsiirtovälineenä toimivat Etelä-Koreaa ja Iso-Britanniaa koskevat päätökset kyseisten maiden tietosuojan tason riittävyydestä.
EU:ssa on myös viime vuosina valmisteltu useita eri säädöksiä, joilla on liityntä tietosuoja-asetuksen soveltamisalaan ja joissa annetaan henkilötietojen käsittelyyn sovellettavia erityissäännöksiä, kuten digimarkkinasäädös (Digital Markets Act), digipalvelusäädös (Digital Services Act), datahallinta-asetus (Data Governance Act), tekoälysäädös (Artificial Intelligence Act), datasäädös (Data Act) sekä eurooppalaisen terveysdata-avaruuden perustamista koskeva asetus (Regulation on the European Health Data Space). Lisäksi komissio on antanut heinäkuussa 2023 yleisen tietosuoja-asetuksen täytäntöönpanon tehostamiseksi rajatylittävää menettelyä koskevan asetusehdotuksen valvontaviranomaisten menettelysääntöjen yhdenmukaistamiseksi. Asetuksen on tarkoitus täydentää yleistä tietosuoja-asetusta. Oikeusministeriö on valmistelemassa asetusehdotuksesta U-kirjelmää.
Tavoitteet
Lausuntopyynnön tavoitteena on selvittää yleisen tietosuoja-asetuksen soveltamiskokemuksia ja toimivuutta Suomessa. Lausunnonantajia pyydetään lausumaan kokemuksistaan yleisen tietosuoja-asetuksen soveltamisesta sekä näkemyksistään sen toimivuudesta sekä sen mahdollistaman sääntelyliikkumavaran käytöstä.
Linkit
https://eur-lex.europa.eu/legal-content/FI/ALL/?uri=CELEX:02016R0679-20160504 - EU:n yleinen tietosuoja-asetus
https://www.finlex.fi/fi/laki/ajantasa/2018/20181050 - Tietosuojalaki
https://julkaisut.valtioneuvosto.fi/handle/10024/162025 - Oikeusministeriön julkaisuja, Mietintöjä ja lausuntoja 2020:7, EU:n yleisen tietosuoja-asetuksen soveltamiskokemuksia Suomessa, Lausuntotiivistelmä
https://data.consilium.europa.eu/doc/document/ST-14994-2019-REV-2/fi/pdf - Euroopan unionin neuvoston kanta yleisen tietosuoja-asetuksen soveltamiseen ja sitä koskevat havainnot
https://eur-lex.europa.eu/legal-content/FI/ALL/?uri=CELEX:52020DC0264 - Komission tiedonanto Euroopan parlamentille ja neuvostolle, Tietosuojasäännöt kansalaisten vaikutusmahdollisuuksien ja EU:n digitaalisen muutoksen edistäjänä – yleistä tietosuoja-asetusta sovellettu kaksi vuotta
https://eur-lex.europa.eu/legal-content/SV/ALL/?uri=CELEX%3A02016R0679-20160504 - EU:s allmänna dataskyddsförordning
https://finlex.fi/sv/laki/ajantasa/2018/20181050?search%5Btype%5D=pika&search%5Bpika%5D=Dataskyddslag - Dataskyddslag
https://data.consilium.europa.eu/doc/document/ST-14994–2019-REV-2/fi/pdf - EU-rådets ståndpunkt om tillämpningen av den allmänna dataskyddsförordningen och iakttagelser (tillgänglig endast på finska)
https://eur-lex.europa.eu/legal-content/SV/ALL/?uri=CELEX%3A52020DC0264 - Komissionens meddellande till Europaparlamentet och rådet, Dataskydd som en pelare för medborgarnas egenmakt och EU:s strategi för den digitala övergången – tillämpning av den allmänna dataskyddsförordningen under två års tid
Aikataulu
Lausunto pyydetään toimittamaan oikeusministeriölle viimeistään 6.9.2023.EU:n neuvoston valmisteluaikataulusta johtuen lausuntoaika on tavanomaista lyhyempi. Lausuntopyynnön ruotsinkielinen versio julkaistaan lausuntopalvelussa lausuntokierroksen alkamisen jälkeen. Ruotsinkielisen version julkaisemisen myöhäisempi ajankohta tullaan huomioimaan lausuntoajassa.
Vastausohjeet vastaanottajille
Lausunto pyydetään antamaan vastaamalla lausuntopalvelu.fi:ssa julkaistuun lausuntopyyntöön. Lausuntoa ei tarvitse lähettää erikseen sähköpostitse tai postitse.
Lausuntopalautteen käsittelyn helpottamiseksi oikeusministeriö pyytää, että lausunto jaotellaan lausuntopyynnössä ilmoitettujen väliotsikoiden mukaisesti. Kaikkiin kysymyksiin ei ole välttämätöntä vastata.
Lausunnon antaakseen vastaajan tulee rekisteröityä ja kirjautua lausuntopalvelu.fi:hin. Tarkemmat ohjeet palvelun käyttämiseksi löytyvät lausuntopalvelu.fi:n sivuilta
Ohjeet > Käyttöohjeet. Palvelun käyttöönoton tukea voi pyytää osoitteesta lausuntopalvelu.om@gov.fi.
Huom! Kaikki lausunnot ovat julkisia ja ne julkaistaan lausuntopalvelu.fi:ssä.
Lausuntopalautteen käsittelyn helpottamiseksi oikeusministeriö pyytää, että lausunto jaotellaan lausuntopyynnössä ilmoitettujen väliotsikoiden mukaisesti. Kaikkiin kysymyksiin ei ole välttämätöntä vastata.
Lausunnon antaakseen vastaajan tulee rekisteröityä ja kirjautua lausuntopalvelu.fi:hin. Tarkemmat ohjeet palvelun käyttämiseksi löytyvät lausuntopalvelu.fi:n sivuilta
Ohjeet > Käyttöohjeet. Palvelun käyttöönoton tukea voi pyytää osoitteesta lausuntopalvelu.om@gov.fi.
Huom! Kaikki lausunnot ovat julkisia ja ne julkaistaan lausuntopalvelu.fi:ssä.
Valmistelijat
Lisätietoja asiasta antavat lainsäädäntöneuvos Virpi Koivu (4.9.2023 lähtien, puh. 0295 150071) ja erityisasiantuntija Silja Kantonen (puh. +358 29 5150 081), sähköposti etunimi.sukunimi@gov.fi.
Lisätietoja lausuntopalvelu.fi:n käytöstä voi pyytää palvelun ylläpidosta osoitteesta lausuntopalvelu.om@gov.fi
Lisätietoja lausuntopalvelu.fi:n käytöstä voi pyytää palvelun ylläpidosta osoitteesta lausuntopalvelu.om@gov.fi
Jakelu:
| Aalto yliopisto | ||
| Akava ry | ||
| Alma Media Oyj | ||
| Ammattikorkeakoulujen rehtorineuvosto Arene ry | ||
| Business Finland | ||
| Datainspektionen | ||
| Eduskunnan kanslia | ||
| Eduskunnan oikeusasiamiehen kanslia | ||
| Electronic Frontier Finland - Effi ry | ||
| Elinkeinoelämän keskusliitto EK | ||
| Finanssiala ry | ||
| Helsingin hallinto-oikeus | ||
| Helsingin ja Uudenmaan sairaanhoitopiiri | ||
| Helsingin kaupunki | ||
| Helsingin yliopisto | ||
| Hämeenlinnan hallinto-oikeus | ||
| Itä-Suomen hallinto-oikeus | ||
| Itä-Suomen yliopisto | ||
| Jyväskylän yliopisto | ||
| Kansallinen audiovisuaalinen instituutti KAVI | ||
| Kansallisarkisto | ||
| Kansallisgalleria | ||
| Kansalliskirjasto | ||
| Kansaneläkelaitos | ||
| Keskuskauppakamari | ||
| Kilpailu- ja kuluttajavirasto | ||
| Kirkkohallitus | ||
| Korkein hallinto-oikeus | ||
| Kuluttajaliitto - Konsumentförbundet ry | ||
| Lapsiasiavaltuutettu | ||
| Lastensuojelun Keskusliitto | ||
| Liikenne- ja viestintäministeriö | ||
| Liikenne- ja viestintävirasto Traficom | ||
| Lääketeollisuus ry | ||
| Maa- ja metsätalousministeriö | ||
| Mannerheimin Lastensuojeluliitto ry | ||
| Medialiitto ry | ||
| Museoalan ammattiliitto MAL ry | ||
| Museovirasto | ||
| Musiikkiarkisto | ||
| Nokia Oyj | ||
| Oikeuskanslerinvirasto | ||
| Oikeusrekisterikeskus | ||
| OKM | ||
| Open Knowledge Finland | ||
| OP-ryhmä | ||
| Pelastakaa Lapset ry | ||
| Puolustusministeriö | ||
| Ruokavirasto | ||
| Sanoma Media Finland Oy | ||
| Sisäministeriö | ||
| Sosiaali- ja terveysministeriö | ||
| STTK | ||
| Suomalaisen Kirjallisuuden Seura | ||
| Suomen Asiakastieto Oy | ||
| Suomen Asiakkuusmarkkinointiliitto ry (ASML) | ||
| Suomen Asianajajaliitto | ||
| Suomen Journalistiliitto ry | ||
| Suomen Kiinteistöliitto ry | ||
| Suomen Kuntaliitto | ||
| Suomen Lakimiesliitto - Finlands Jurisförbund ry | ||
| Suomen Lääkäriliitto - Finlands Läkarförbund | ||
| Suomen museoliitto ry | ||
| Suomen valokuvataiteen museo | ||
| Suomen Yrittäjät ry | ||
| Teknologiateollisyys ry | ||
| Terveyden ja hyvinvoinnin laitos THL | ||
| Tietoarkisto | ||
| Tietoevry Oyj | ||
| Tietoliikenteen ja tietotekniikan keskusliitto (FiCom) | ||
| Tietosuoja ry | ||
| Tietosuojavaltuutetun toimisto | ||
| Tietoyhteiskunnan kehittämiskeskus ry (TIEKE) | ||
| Tilastokeskus | ||
| Tulli | ||
| Turun hallinto-oikeus | ||
| Tutkimuksen tuen ja hallinnon verkosto -Finn-ARMA | ||
| Työ- ja elinkeinoministeriö | ||
| Ulkoministeriö | ||
| Valtion taloudellinen tutkimuskeskus VATT | ||
| Valtiovarainministeriö | ||
| Väestörekisterikeskus | ||
| Yksityiset keskusarkistot ry | ||
| Yleisradio | ||
| Ålands landskapsregering |
Asiasanat
Tietosuoja
yleinen tietosuoja-asetus
dataskydd
tietosuojalaki
EU:n yleinen tietosuoja-asetus
Dataskyddslagen
EU:s allmänna dataskyddsförordning
Allmänna dataskyddsförordning